🏴‍☠️ Coruna iOS Exploit Kit: CVE-2024-23222 연구

📌 개요

이 저장소는 Coruna iOS Exploit Kit에 대한 포괄적인 기술 분석 및 디난독화 연구를 포함합니다. 이 연구는 익스플로잇 체인이 CVE-2024-23222 — WebKit의 JavaScriptCore(JSC) 엔진에서 원격 코드 실행(RCE)을 달성하기 위해 사용되는 높은 심각도의 타입 혼란 취약점 — 을 어떻게 대상으로 하는지 문서화하는 데 초점을 맞춥니다.

🔗 참고 자료 및 크레딧

• 취약점 출처: Sploitus - CVE-2024-23222 익스플로잇 상세 정보
• 원 연구자: Coruna Analysis by 34306

---

🏗️ 익스플로잇 체인 아키텍처

실행 흐름은 여러 정교한 단계로 나뉩니다:

• 플랫폼 탐지: platform_module.js를 통해 iOS 버전 식별, 잠금 모드 확인, 시뮬레이터 상태 확인.
• 1단계: WASM 메모리 프리미티브: WASM 기반 메모리 손상을 활용하여 addrof 및 fakeobj 프리미티브 구축.
• 2단계: PAC 우회: Intl.Segmenter 반복자 vtable을 손상시켜 ARM64 가젯을 통해 가상 메서드 호출을 리디렉션하여 PAC 서명.
• 3단계: 샌드박스 이스케이프: Mach-O 파싱 및 심볼 해석을 조율하여 WebKit 샌드박스 이스케이프.
• 4-6단계: 페이로드 전달: 암호화된 바이너리 블롭 및 PLASMAGRID 스테이저의 최종 전달.

---

📂 저장소 구조

---

📊 MITRE ATT&CK® 매핑

• 초기 접근: T1190 - 공개된 애플리케이션 익스플로잇
• 실행: T1059 - 명령 및 스크립팅 인터프리터 (JavaScript)
• 권한 상승: T1068 - 권한 상승을 위한 익스플로잇
• 방어 회피: T1574.001 - 실행 흐름 하이재킹: 코드 캐시 포이즈닝

---

🧪 디난독화 방법론

분석은 원본 소스에 적용된 여러 난독화 계층을 리버싱하는 것을 포함했습니다:

• XOR 인코딩된 문자열: 정적 분석을 우회하기 위해 문자 코드 매핑.
• SHA1 키 기반 모듈 시스템: SHA256 파일명 해싱을 통해 비동기 모듈 식별.
• XOR 마스킹된 상수: 비트 XOR 연산을 통해 숨겨진 숫자 값 디코딩.

---

⚠️ 면책 조항

이 연구는 교육 및 방어 보안 목적으로만 제공됩니다. 제3자 장치에 대한 무단 테스트는 엄격히 금지되며 불법일 수 있습니다.